Cyberangriffe in 22 Sekunden: Warum deutsche Unternehmen KI-Angriffe zu spät erkennen

Ein Hacker braucht heute 22 Sekunden, um einen geknackten Netzwerkzugang an die eigentliche Tätergruppe zu übergeben. Bis ein Unternehmen den Angriff überhaupt bemerkt, vergehen im Schnitt 14 Tage. Diese beiden Zahlen stammen aus dem aktuellen Report M-Trends 2026 von Mandiant, der Sicherheitstochter von Google Cloud. Experten, die sich beim ersten Cyber Security Open Exchange in Deutschland trafen, sprechen von einer Abwartenfalle: Die Gefahr wächst, die Vorbereitung aber nicht.

Der Bericht und die begleitende Bitkom-Studie Wirtschaftsschutz 2026 zeichnen das gleiche Bild: Angreifer werden mit Hilfe von KI immer schneller, während die Verteidigung vieler Firmen auf dem Stand von gestern bleibt.

Was der M-Trends Report 2026 zeigt

Mandiant veröffentlicht den M-Trends Report jedes Jahr, und die Ausgabe 2026 enthält eine Zahl, die bei der Veranstaltung in Dortmund für Aufsehen sorgte. Mit KI-Unterstützung übergeben Angreifer einen geknackten Netzwerkzugang heute in 22 Sekunden an die Gruppe, die den eigentlichen Angriff ausführt. Im Jahr 2022 dauerte dieser Schritt noch mehr als acht Stunden.

Auf der anderen Seite steht die Erkennungszeit. Bis ein Angriff entdeckt wird, vergehen laut dem Report im Durchschnitt 14 Tage. Sebastian Struwe, Geschäftsführer des Dortmunder Sicherheitsunternehmens Cybersense, brachte es auf den Punkt: Wer einen Angriff früh entdeckt, kann noch reagieren. Doch diese Reaktionszeit wird immer kürzer, weil die Angriffe automatisiert laufen.

Die Lage in Deutschland: Bitkom beziffert den Schaden

Die Bitkom-Studie Wirtschaftsschutz 2026 liefert die deutschen Zahlen dazu. Der deutschen Wirtschaft entsteht demnach ein Schaden von 211 bis 270,8 Milliarden Euro. Drei Viertel dieses Schadens gehen auf Cyberangriffe zurück.

Gleichzeitig fühlen sich immer weniger Unternehmen gewappnet. Nur noch 43 Prozent der befragten Firmen halten sich für sehr gut vorbereitet. Im Vorjahr waren es noch 50 Prozent. Die Investitionen in IT-Sicherheit stagnieren bei 18 Prozent des IT-Budgets. BSI und Bitkom empfehlen 20 Prozent.

Als wichtigsten Grund für erfolgreiche Angriffe nennen die betroffenen Unternehmen eine unzureichende Erkennung von Sicherheitsvorfällen. 59 Prozent geben das an. Fast ein Drittel der Unternehmen, 29 Prozent, vermutet, betroffen gewesen zu sein, kann es aber nicht sicher sagen.

Warum Unternehmen zu spät reagieren

Die Experten beim Cyber Security Open Exchange waren sich einig, dass das Problem selten nur Technik ist. Oft liegt es an der Haltung im Unternehmen. Viele Firmen schieben das Thema in die IT, lassen sich nach ISO 27001 zertifizieren und halten das Zertifikat für einen Freibrief. Benjamin Richter, Berater für Managementsysteme und Informationssicherheit, sagte dazu deutlich: Viele denken, man schiebt das in die IT, macht eine ISO 27001, bekommt eine Plakette und dann ist alles gut. Das ist es eben nicht.

Ein anschauliches Beispiel lieferte Stephan Bischof, Geschäftsführer des Schweizer Unternehmens Xplain. Seine Firma wurde 2023 selbst Opfer eines Angriffs. Die Cyberversicherung übernahm etwa 10 Prozent des unmittelbaren Schadens. Bis die Softwareproduktion wieder in vollem Umfang lief, dauerte es rund anderthalb Jahre.

Ein weiteres Risiko ist die Schatten-KI. Der Geschäftsführer hört beim Golfen, dass andere Firmen schon KI nutzen, kommt ins Unternehmen und fordert, Gas zu geben. Es folgt Aktionismus, und die IT verliert die Kontrolle über die eigene Landschaft. Die Experten waren sich einig: Eine KI-Strategie muss Hand in Hand mit der Cyberstrategie gehen, sonst schafft die neue Technik neue Einfallstore.

Frank Hommes von der Heinrich-Heine-Universität Düsseldorf beschrieb, warum gute Sicherheit so schwer zu verkaufen ist: Wenn IT-Sicherheit gut ist, merkt man nichts davon. Man merkt sie nur, wenn sie nicht gut ist oder man Pech hatte.

Ein Blick ins Darknet: So arbeiten die Täter

Wie professionell die Täter vorgehen, zeigte Sebastian Struwe beim Open Exchange live auf der Leak-Seite der Gruppe, die das Berliner Landesnetz angegriffen hatte. Der Einstieg erfolgte über ein manipuliertes Captcha, das Nutzer dazu brachte, per Tastenkombination einen PowerShell-Befehl auszuführen. Die erbeuteten Daten standen dort für jeden zum Download bereit.

Sein Fazit: Was einmal dort veröffentlicht ist, bekommt man nie wieder zurück. Der Fall zeigt, dass Angriffe oft nicht mit einem spektakulären Hack beginnen, sondern mit einem kleinen Trick, der einen Menschen dazu bringt, selbst den Befehl auszuführen.

Was die Experten fordern

Die Diskussion endete nicht bei der Warnung. Die vier Experten formulierten vier konkrete Forderungen, die sich vor allem an kleine und mittlere Unternehmen richten. Erstens: Erkennung vor Mauerbau. Nicht nur den Perimeter sichern, sondern ins Innere schauen. Wer Angreifer erst bemerkt, wenn Daten abfließen, hat schon verloren.

Zweitens: Notfallpläne leben statt abheften. Fehlende und ungetestete Notfallpläne seien fast Standard. Einen zu haben ist gut, ihn zu leben ist besser.

Drittens: Mit dem Wert beginnen, nicht mit den Kosten. Für kleine und mittlere Unternehmen wird als Einstieg eine zweitägige Gap-Analyse empfohlen. Die Leitfragen lauten: Was bringt Umsatz, was darf auf keinen Fall ausfallen?

Viertens: IT in die Wertschöpfung holen. Historisch ist die IT in den Support-Prozessen angesiedelt. Heute gehört sie in die primären, wertschöpfenden Aktivitäten. Sicherheit ist dann kein Kostenblock mehr, sondern Teil des Geschäfts.

Was das für Sie bedeutet

Für Unternehmen heißt die Botschaft des Reports: Prüfen Sie, wie schnell Sie einen Angriff bemerken würden, nicht nur, ob Ihre Firewall steht.

Für Privatpersonen gilt ein kleinerer Teil der gleichen Logik. Halten Sie Ihre Geräte und Programme aktuell, nutzen Sie die Zwei-Faktor-Authentifizierung, wo sie angeboten wird, und seien Sie misstrauisch, wenn eine Webseite oder eine Nachricht Sie auffordert, eine Tastenkombination zu drücken oder einen Befehl auszuführen. Ein manipuliertes Captcha war beim Angriff auf das Berliner Landesnetz der Einstieg. Der gleiche Trick funktioniert auch gegen private Nutzer.

Die Lage ist ernst, aber nicht hoffnungslos. Die Werkzeuge zur Verteidigung existieren, man muss sie nur nutzen, bevor der Schaden da ist.

Frequently Asked Questions

Was ist der M-Trends Report 2026?

Der M-Trends Report ist der jährliche Sicherheitsbericht von Mandiant, der Sicherheitstochter von Google Cloud. Die Ausgabe 2026 stellt fest, dass Angreifer einen geknackten Netzwerkzugang mit KI-Unterstützung heute in 22 Sekunden an die Tätergruppe übergeben, während es 2022 noch mehr als acht Stunden dauerte. Die durchschnittliche Zeit bis zur Entdeckung eines Angriffs liegt demnach bei 14 Tagen.

Wie groß ist der Schaden durch Cyberangriffe in Deutschland?

Laut der Bitkom-Studie Wirtschaftsschutz 2026 entsteht der deutschen Wirtschaft ein Schaden von 211 bis 270,8 Milliarden Euro. Drei Viertel davon gehen auf Cyberangriffe zurück. Nur 43 Prozent der befragten Unternehmen halten sich für sehr gut vorbereitet, und die Investitionen in IT-Sicherheit stagnieren bei 18 Prozent des IT-Budgets.

Was können kleine Unternehmen konkret tun?

Die Experten empfehlen als Einstieg eine zweitägige Gap-Analyse: Klären Sie, was Umsatz bringt und was auf keinen Fall ausfallen darf. Testen Sie Ihre Notfallpläne regelmäßig, statt sie nur abzuheften, und investieren Sie in Erkennung im Inneren des Netzes, nicht nur in die Firewall am Rand.